Zmluva o spracúvaní osobných údajov — OAZEE

Táto zmluva o spracúvaní osobných údajov (ďalej len „Zmluva o spracúvaní“) je súčasťou Podmienok používania OAZEE uzavretých medzi spoločnosťou Arti Group s.r.o., IČO 27930432, DIČ CZ27930432, so sídlom Schulhoffova 793/3, Háje, 149 00 Praha 4, Česká republika (OAZEE), a zákazníkom, ktorý OAZEE používa na spracúvanie osobných údajov vo svojom mene (Zákazník).

Vzťahuje sa na prípady, keď OAZEE spracúva osobné údaje v obsahu webu, v dopytoch návštevníkov alebo v súvisiacom hostingu a doručovaní výlučne pre Zákazníka. Zákazník je spravidla prevádzkovateľom; ak je Zákazník agentúrou konajúcou pre prevádzkovateľa, OAZEE je jeho ďalším sprostredkovateľom. Zákazník musí byť oprávnený dávať príslušné pokyny.

Pojmy prevádzkovateľ, sprostredkovateľ, osobné údaje, spracúvanie a porušenie ochrany osobných údajov majú význam podľa GDPR. V rozsahu spracúvania, na ktoré sa táto Zmluva o spracúvaní vzťahuje, má prednosť pred všeobecnými podmienkami, ktoré sú s ňou v rozpore. Neupravuje vlastné účely, na ktoré OAZEE ako prevádzkovateľ spracúva údaje o účtoch, platbách, bezpečnosti a podpore; tie opisujú Zásady ochrany osobných údajov. Uplatniteľné právne predpisy o ochrane osobných údajov majú prednosť pred akýmkoľvek zmluvným obmedzením.

• Predmet: hosting a prevádzka webu Zákazníka a nakladanie s osobnými údajmi, ktoré Zákazník do webu vloží alebo ktorých zber prostredníctvom podporovaných funkcií zvolí.
• Povaha a účel: ukladanie, vyhľadanie, zobrazenie a zverejnenie obsahu webu podľa pokynov; prijatie, kontrola spamu, uloženie a doručenie dopytov návštevníkov e-mailom; technická podpora, bezpečnosť a vymazanie alebo vrátenie údajov v rozsahu potrebnom pre tieto funkcie.
• Dotknuté osoby: návštevníci webu Zákazníka, potenciálni a existujúci zákazníci, kontaktné osoby, zamestnanci a ďalšie osoby, ktorých údaje Zákazník oprávnene poskytne.
• Kategórie údajov: texty a obrázky webu podľa pokynov, mená, pracovné kontaktné údaje, e-mailové adresy, telefónne čísla, správy, údaje o službách alebo termínoch (ak sa používajú), čas odoslania, hashovaná IP adresa, údaje o prehliadači (user-agent) a príslušné bezpečnostné alebo spamové príznaky. Poskytovatelia infraštruktúry a ochrany môžu spracúvať údaje o pripojení potrebné na doručenie a bezpečnosť.
• Doba: počas trvania príslušnej služby spracúvania a oprávnených pokynov na uchovávanie, potom nasleduje vrátenie alebo vymazanie podľa bodu 10. Ďalšie uloženie v účte neoprávňuje na nesúvisiace použitie.

Štandardná služba nie je určená na zber osobitných kategórií osobných údajov, údajov o trestných činoch, dokladov totožnosti ani iných vysoko citlivých údajov prostredníctvom všeobecných formulárov alebo zadaní pre AI. Zákazník nesmie takéto spracúvanie nariadiť bez právneho základu a výslovne dohodnutého vhodného režimu. Nevyžiadaná citlivá správa je aj tak chráneným osobným údajom a nesmie sa použiť na samostatné účely.

Zákazník poveruje OAZEE spracúvaním údajov len na účel poskytovania zvolených funkcií, a to v súlade so zmluvou, zaznamenanými nastaveniami a požiadavkami Zákazníka a touto Zmluvou o spracúvaní. Požiadavka na zverejnenie obsahu webu je pokynom na zverejnenie tohto obsahu; súkromný dopyt z formulára pokynom na zverejnenie nie je.

OAZEE spracúva údaje len na základe zákonných zdokumentovaných pokynov vrátane pokynov na prenos do zahraničia, ak právo EÚ alebo členského štátu nevyžaduje inak. V takom prípade OAZEE Zákazníka pred spracúvaním informuje, ak to právo nezakazuje. Ak sa zdá, že je pokyn v rozpore s právnymi predpismi o ochrane osobných údajov, OAZEE na to Zákazníka bezodkladne upozorní a môže jeho vykonanie do vyjasnenia pozastaviť.

OAZEE nepoužíva údaje návštevníkov, ktoré spravuje Zákazník, na vlastnú reklamu, samostatné trénovanie modelov, predaj ani nesúvisiaci vývoj produktov. Oprávnenie hostovať formulár neoprávňuje odosielať jeho správy poskytovateľovi AI na jeho vlastné účely. Spracúvanie pomocou AI v rámci tejto Zmluvy o spracúvaní si vyžaduje príslušný pokyn Zákazníka a zmluvnú úpravu s poskytovateľom, ktorá je s touto Zmluvou o spracúvaní v súlade.

Zákazník určuje právny základ, poskytuje návštevníkom potrebné informácie, obmedzuje zber na nevyhnutné údaje a dáva oprávnené pokyny na uchovávanie. Tieto povinnosti nezbavujú OAZEE jeho vlastných povinností sprostredkovateľa.

OAZEE zabezpečuje, aby osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou a mali prístup len v rozsahu potrebnom na svoju prácu. OAZEE prijíma vhodné technické a organizačné opatrenia podľa článku 32 GDPR s ohľadom na riziká, rozsah, okolnosti, stav techniky a náklady.

Opatrenia zahŕňajú obmedzenie prístupu a overovanie, ochranu údajov pri prenose, bezpečné zaobchádzanie s prístupovými údajmi, oddelenie prístupov zákazníkov, primeranú ochranu proti zneužitiu a spamu, vhodné logovanie a riešenie incidentov a opatrenia na zachovanie dostupnosti a prípadnú obnovu údajov. Ochrana údajov v spravovanej infraštruktúre a doby ich uchovávania sa posudzujú s ohľadom na konkrétne spracúvanie. Táto Zmluva o spracúvaní neobsahuje tvrdenie o žiadnej konkrétnej certifikácii, výlučnom regióne uloženia, pevnej dobe obnovy zo zálohy ani absolútnej bezpečnosti.

OAZEE poskytuje Zákazníkovi informácie primerane potrebné na posúdenie použitých opatrení a počas služby spracúvania podstatne neznižuje celkovú úroveň ochrany vyžadovanú právom.

Zákazník udeľuje všeobecné písomné povolenie na zapojenie ďalších sprostredkovateľov riadne uvedených pre príslušné spracúvanie. Prehľad poskytovateľov v bode 12 musí uvádzať skutočných poskytovateľov, ich funkcie, miesta a uplatniteľné pravidlá prenosu skôr, ako sa im príslušné spracúvanie zverí. Nepoužívaná softvérová integrácia sama osebe neznamená, že poskytovateľ údaje Zákazníka dostáva.

Pred pridaním alebo výmenou ďalšieho sprostredkovateľa údajov Zákazníka poskytne OAZEE informácie o zamýšľanej zmene na registrovaný kontakt Zákazníka, ak je to možné, aspoň 30 dní vopred, aby Zákazník mal skutočnú možnosť vzniesť námietku z dôvodov ochrany osobných údajov. O skutočne naliehavej bezpečnostnej alebo právnej zmene informuje čo najskôr; ani taká zmena neruší požiadavku na zákonné povolenie a ochranu.

Zákazník môže počas lehoty vzniesť námietku. Strany budú hľadať primeranú alternatívu alebo ochranné opatrenie. Ak námietku nemožno vyriešiť a zákonná alternatíva nie je k dispozícii, Zákazník môže dotknutú službu spracúvania ukončiť pred účinnosťou zmeny bez poplatku za predčasné ukončenie a budú mu vrátené peniaze za nevyužitú časť dotknutej služby, ak má na ich vrátenie podľa zákona alebo zmluvy nárok. Nejde o prísľub ďalšieho využívania nezákonného alebo nedostupného dodávateľa.

OAZEE písomne ukladá ďalším sprostredkovateľom povinnosti, ktoré zabezpečujú rovnakú úroveň ochrany osobných údajov ako táto Zmluva o spracúvaní, a zodpovedá Zákazníkovi za ich plnenie podľa článku 28 GDPR. Poskytovateľ modelu AI nie je z týchto povinností vyňatý len preto, že prístup k nemu sprostredkúva iná platforma.

Pokyn Zákazníka nezbavuje OAZEE povinnosti dodržiavať obmedzenia stanovené GDPR pre prenosy mimo EHP. Pred prenosom, ktorý podlieha obmedzeniu, musí OAZEE pre skutočného príjemcu a spracúvanie zabezpečiť a zdokumentovať platný mechanizmus vrátane prípadného potrebného posúdenia a doplnkových opatrení.

Spracúvanie uvedené v bode 12 zahŕňa prenosy do Spojených štátov amerických. Tieto prenosy sa opierajú o rámec EU-U.S. Data Privacy Framework (DPF), ak sú príjemca a činnosť pokryté platnou certifikáciou, a/alebo o uplatniteľné štandardné zmluvné doložky (SCC) podľa príslušnej zmluvy o spracúvaní s dodávateľom. Zásady ochrany osobných údajov, body 8–9 uvádzajú miesta spracúvania, príjemcov a odkazy na ich podmienky prenosu. Uzavretie zmluvy s európskym subjektom nevylučuje prístup k údajom ani ich spracúvanie v Spojených štátoch.

Rozhodnutie o primeranosti ochrany možno použiť len tam, kde sú splnené jeho podmienky. Spoliehanie sa na rámec EU-U.S. Data Privacy Framework si vyžaduje, aby boli príslušný príjemca a činnosť pokrytí platnou certifikáciou. Pri použití štandardných zmluvných doložiek musia byť doplnené príslušné strany, modul, prílohy, opis spracúvania a opatrenia; všeobecný odkaz v tejto Zmluve o spracúvaní sám osebe neznamená uzavretie doložiek pre prenos.

OAZEE na požiadanie poskytne informácie o skutočne použitom mechanizme a prístup k zárukám, s výhradou zákonnej ochrany dôverných informácií a osobných údajov tretích osôb. Ak prenos nemožno ďalej zákonne zabezpečiť, musí sa dotknutý prenos zastaviť alebo nahradiť iným zákonným riešením.

S ohľadom na povahu spracúvania OAZEE pomáha Zákazníkovi vhodnými opatreniami vybavovať žiadosti o prístup k údajom, opravu, vymazanie, obmedzenie spracúvania a prenosnosť údajov a námietky proti spracúvaniu, ak sú tieto práva uplatniteľné. Žiadosti možno koordinovať cez Zobraziť e-mailovú adresu.

Ak OAZEE dostane žiadosť týkajúcu sa údajov, ktoré spravuje Zákazník, postúpi ju Zákazníkovi bez zbytočného odkladu a o odpovedi sám nerozhoduje, ak to nevyžaduje zákon. Posúdenie žiadosti zostáva na Zákazníkovi; OAZEE poskytne pomoc včas, aby bolo možné dodržať zákonnú lehotu. Vrátenie údajov možno vybaviť na požiadanie a neobmedzuje sa na informácie viditeľné v administrácii.

OAZEE oznámi Zákazníkovi porušenie ochrany osobných údajov spracúvaných podľa tejto Zmluvy o spracúvaní bez zbytočného odkladu po tom, ako sa o ňom dozvie. Oznámenie obsahuje, ak sú k dispozícii, povahu incidentu, dotknuté kategórie a približný počet, kontaktné miesto, pravdepodobné následky a prijaté alebo navrhované opatrenia.

Informácie možno počas zisťovania skutočností poskytovať postupne, vždy bez zbytočného odkladu. OAZEE spolupracuje pri obmedzovaní a odstraňovaní následkov, posudzovaní incidentu a plnení oznamovacích povinností Zákazníka. Prípadná 72-hodinová lehota prevádzkovateľa na oznámenie dozornému orgánu nie je zmluvnou lehotou, o ktorú by OAZEE mohol informovanie Zákazníka odložiť.

S ohľadom na povahu spracúvania a dostupné informácie OAZEE pomáha Zákazníkovi plniť povinnosti v oblasti bezpečnosti, oznamovania porušení, posúdenia vplyvu na ochranu osobných údajov a predchádzajúcej konzultácie, ak sa vyžaduje.

OAZEE poskytuje informácie potrebné na preukázanie súladu s článkom 28 GDPR a umožňuje audity a prispieva k nim vrátane kontrol vykonávaných Zákazníkom alebo ním povereným nezávislým audítorom. Strany sa dohodnú na primeranom oznámení vopred, rozsahu, mlčanlivosti a ochrane údajov ostatných zákazníkov; tieto dohody nemôžu vylúčiť zákonné právo na audit ani brániť príslušnému orgánu. Existujúce nezávislé správy možno použiť, ak sú vhodné, nesmú sa však vydávať za certifikácie, ktoré OAZEE nemá.

Bežná súčinnosť je súčasťou príslušných zákonných povinností. Osobitne dohodnutá úhrada za skutočne dodatočnú prácu musí byť primeraná a nesmie brániť uplatňovaniu práv, ktoré nemožno zmluvne vylúčiť, ani náprave porušenia povinností zo strany OAZEE.

Po skončení príslušnej služby spracúvania môže Zákazník zvoliť vrátenie alebo vymazanie svojich osobných údajov vrátane kópií, ak právo EÚ alebo členského štátu nevyžaduje ich uchovanie. Žiadosti sa podávajú cez Zobraziť e-mailovú adresu; OAZEE pomôže bez zbytočného odkladu a pri vrátení poskytne údaje v použiteľnom, bežne používanom formáte zodpovedajúcom povahe údajov. Po vrátení OAZEE vymaže zostávajúce kópie, ak právo EÚ alebo členského štátu nevyžaduje ich uchovanie, s výhradou obmedzeného cyklu záloh opísaného nižšie.

Ak si Zákazník ponechá účet a dá pokyn na ďalšie uloženie na neskoršiu obnovu, toto vymedzené uloženie môže podľa tejto Zmluvy o spracúvaní pokračovať. Ukončenie plateného hostingu so zachovaním obnoviteľného obsahu nie je to isté ako pokyn na vymazanie všetkého uloženého obsahu. Prevádzkové doby uchovávania uvedené v Zásadách ochrany osobných údajov sa riadia oprávnenými pokynmi Zákazníka a požiadavkou nevyhnutnosti podľa GDPR.

Záznamy, ktoré je potrebné uchovať zo zákona, sú oddelené a použité len na daný účel. Záložné kópie čakajúce na príslušný cyklus vymazania zostávajú chránené, nepoužívajú sa na nové účely a vymažú sa alebo anonymizujú, keď ich obmedzené uchovávanie prestane byť potrebné. OAZEE na požiadanie vysvetlí príslušnú výnimku alebo cyklus uchovávania.

Kontaktom pre pokyny sprostredkovateľovi a záležitosti ochrany osobných údajov je Zobraziť e-mailovú adresu. Oznámenia týkajúce sa údajov Zákazníka posielame na aktuálny kontakt v jeho účte, ak nie je dohodnutý iný. Zákazník musí tento kontakt udržiavať aktuálny.

Táto Zmluva o spracúvaní sa riadi ustanovením Podmienok používania o českom práve; tým nie je dotknuté uplatňovanie GDPR, právomoci príslušných dozorných orgánov, práva dotknutých osôb ani ďalšie záruky ochrany, ktoré nemožno vylúčiť. Nenúti spotrebiteľa obracať sa výlučne na český súd v rozpore s uplatniteľným právom.

Zásady ochrany osobných údajov, bod 8 uvádzajú príslušných poskytovateľov a ich funkcie. Pre skutočné spracúvanie údajov Zákazníka sa rozlišujú:

• Vercel Inc. (USA): hosting, úložisko Blob a ochrana BotID vrátane prípadného spracúvania spoločnosťou Kasada;
• Neon: databáza; aktuálne verejné podmienky uvádzajú spoločnosť Databricks, Inc. a jej dcérsku spoločnosť Neon, LLC (USA);
• Resend / Plus Five Five, Inc. (USA): doručovanie dopytov a prevádzkových e-mailov vrátane ukladania správ v USA;
• nastavení poskytovatelia AI alebo hlasových funkcií, ak sú údaje Zákazníka oprávnene zahrnuté: Google (vrátane Google Cloud EMEA Limited, Írsko, pre platené služby Gemini API s českou fakturačnou adresou), OpenAI, OpenRouter spolu s príslušným nadväzujúcim poskytovateľom alebo Recraft;
• ďalší poskytovatelia len v rozsahu, v akom sú skutočne použití v mene Zákazníka na základe potrebného povolenia.

Samostatné spracúvanie platieb spoločnosťou Stripe, odovzdávanie údajov registru prostredníctvom Gransy / Subreg alebo príslušného registra domén a vlastné notifikácie podpory OAZEE sa posudzujú podľa skutočnej úlohy zapojených subjektov; tieto subjekty nie sú automaticky ďalšími sprostredkovateľmi údajov z formulárov návštevníkov.

Databáza je uložená v regióne AWS US East 1, Severná Virgínia, USA (us-east-1). Serverové funkcie OAZEE používajú predvolený región Vercel Washington, D.C., USA (iad1); statický obsah sa doručuje prostredníctvom globálnej siete CDN. Logá, fotografie a nahrané súbory sa ukladajú v službe Vercel Blob; región funkcií neurčuje umiestnenie všetkých kópií v službe Blob, vo vyrovnávacej pamäti či v zálohách ani miesta, odkiaľ je umožnený vzdialený prístup. Resend ukladá e-mailové údaje v USA; voľba regiónu odosielania na tom nič nemení.

Príjemcovia a podmienky prenosu uvedené v Zásadách ochrany osobných údajov, body 8–9 sú súčasťou tohto prehľadu. Pre každého aktívneho ďalšieho sprostredkovateľa poskytne OAZEE na adrese Zobraziť e-mailovú adresu informácie o príslušnom zmluvnom subjekte, jeho funkcii, kategóriách údajov, miestach spracúvania a vzdialeného prístupu a zárukách pre prenos a o zmenách informuje podľa bodu 5. Ďalší alebo nadväzujúci poskytovatelia musia byť pre skutočné spracúvanie uvedení; uvedené regióny infraštruktúry neznamenajú, že všetko spracúvanie prebieha len v nich.